התכתבויות פנימיות חשפו כיצד הנהלת Facebook ניצלה את חוסר ההבנה של הגדרות הפרטיות, ובית המשפט קבע שההטעיה הייתה שיטתית
שמונה שנים אחרי שפרשת קיימברידג' אנליטיקה חשפה כיצד Facebook אפשרה לגורמים חיצוניים לאסוף מידע על מיליוני משתמשים, החשבון ממשיך לתפוח. בית משפט במדינת ניו מקסיקו בארצות הברית הורה ל-Meta לשלם קנס של 25 מיליארד דולר, בעקבות שנים של הצהרות מטעות על פרטיות המשתמשים, הגישה למידע האישי שלהם והיכולת של החברה לפקח על הנעשה בפלטפורמה.
הסכום לבדו מספיק כדי למשוך תשומת לב, אבל יש כאן פרט נוסף: הקנס נושא ריבית שנתית של 15%, שמשמעותה כ-3.75 מיליארד דולר בשנה, או יותר מ-10 מיליון דולר בכל יום שבו החוב נותר ללא תשלום. Meta כבר הודיעה שתערער, כך שהמאבק על גובה הקנס רחוק מסיום.
המשתמשים חשבו שהם שולטים במידע שלהם
שורשי הפרשה נמצאים ב-2018, אז נחשף כי חברת הייעוץ הפוליטי הבריטית Cambridge Analytica השיגה גישה למידע אישי של עד 87 מיליון משתמשי Facebook. המידע נאסף באמצעות אפליקציית שאלון אישיות שפיתח החוקר אלכסנדר קוגן, והותקנה על ידי כ-270 אלף משתמשים. אלא שבאותה תקופה, ממשקי ה-API של Facebook אפשרו לאפליקציות מסוימות לאסוף מידע גם על חבריהם של המשתמשים, אפילו אם אותם חברים מעולם לא התקינו את האפליקציה בעצמם.
המידע שימש לבניית פרופילים פסיכולוגיים של בוחרים ולהתאמת מסרים פוליטיים, בין היתר במסגרת מערכת הבחירות לנשיאות ארצות הברית ב-2016. הפרשה חשפה בעיה בסיסית במודל הפרטיות של Facebook: המשתמשים יכלו להגדיר מי רשאי לצפות בפרסומים שלהם, אבל ההגדרות האלה לא בהכרח הגבילו את המידע שמפתחי אפליקציות חיצוניות היו מסוגלים לקבל.
הפער הזה עמד במרכז המשפט בניו מקסיקו. אחת הראיות המשמעותיות הייתה התכתבות פנימית בין מארק צוקרברג לכריס קוקס, סמנכ"ל המוצר של החברה. צוקרברג העריך שמשתמשי Facebook כנראה אינם מבינים את הגדרות הפרטיות שלהם, או שאינם מתעניינים במיוחד בזהות האנשים שיכולים לראות את העדכונים שלהם. במקום לעודד אותם להבין את האפשרויות ולבחור בעצמם, הוא הציע לאפשר שינוי של ההגדרות, אבל לא לעודד את המשתמשים לעשות זאת.
לפי קביעת השופט פרנסיס מתיו, ההתכתבות המחישה כיצד הנהלת Facebook ניצלה את חוסר ההבנה של המשתמשים כדי לעודד שיתוף רחב יותר של מידע אישי, בין היתר כדי להתחרות בטוויטר. מבחינת בית המשפט, לא מדובר היה רק בממשק משתמש מבלבל, אלא בדפוס התנהלות מכוון הקשור למודל העסקי של החברה.
חבר המושבעים בחן 29 הצהרות פומביות של Facebook ובכיריה, וקבע כי 26 מהן היו כוזבות או מטעות. ההצהרות לא עסקו רק בפרטיות ובגישה של מפתחי אפליקציות למידע, אלא גם בהבטחות החברה להיאבק במידע כוזב ובדברי שנאה ברשת.
אלפי אפליקציות חשודות ורק 14 בדיקות מעמיקות
אחד החלקים הבעייתיים ביותר בהחלטת בית המשפט נוגע דווקא למה ש-Facebook עשתה אחרי חשיפת השערורייה. החברה הבטיחה לחקור אפליקציות שקיבלו גישה נרחבת למידע, לבדוק מפתחים חשודים, לוודא שמידע שנאסף שלא כדין נמחק ולעדכן משתמשים שנפגעו. אלא שבמהלך חקירה פנימית שנמשכה כשלוש שנים, ממרץ 2018 עד מרץ 2021, ביצעה Facebook רק 14 בדיקות פורנזיות מעמיקות, אף שזיהתה אלפי אפליקציות שהציגו פעילות חשודה.
הנתונים שנחשפו במשפט ממחישים עד כמה הפער בין ההבטחות לביצוע היה רחב. החקירה זיהתה לפחות 2,000 אפליקציות שפעילותן הייתה אמורה להוביל להודעה למשתמשים על שימוש לרעה במידע שלהם. בפועל, Facebook הודיעה למשתמשים על שתי אפליקציות בלבד. בית המשפט קבע כי החברה אף צמצמה במכוון את ההגדרה הפנימית של שימוש לרעה במידע, כדי להקטין את מספר המקרים שבהם תידרש להודיע למשתמשים.
גם ההבטחה למחוק מידע שנאסף באופן בלתי תקין התגלתה כבעייתית. Facebook לא החזיקה במנגנון אמין שאפשר לה לוודא כי מפתחים חיצוניים אכן מחקו את המידע שברשותם. במקרים רבים היא הסתפקה בהצהרת המפתחים עצמם, אף שהשימוש בגישה הזו כבר הוכח ככושל בפרשת קיימברידג' אנליטיקה.
היקף הפגיעה הפוטנציאלית היה רחב במיוחד. לפי ממצאי בית המשפט, ניתן היה לקשור 1,585 מהאפליקציות החשודות לחשבונות של משתמשים בניו מקסיקו, כאשר לפחות 1.14 מיליון משתמשים במדינה הושפעו משימוש לרעה במידע שלהם. מדובר ביותר מ-80% מהמשתמשים הפעילים החודשיים של Facebook במדינה בשנת 2020.
המשפט חשף גם פערים בתחום פיקוח התוכן. מערכת פנימית בשם CrossCheck, שנועדה לטפל בחשבונות מסוימים במסלול בדיקה נפרד, אפשרה במקרים מסוימים לתכנים שהפרו את כללי Facebook להישאר באוויר במשך זמן ממושך ולצבור מיליוני צפיות. החברה ידעה על הכשלים האלה, אך המשיכה להציג לציבור תמונה אופטימית יותר של יכולות הפיקוח שלה.
החשבון המקורי הגיע לכמעט 220 מיליארד דולר
ב-25 בספטמבר קבע חבר המושבעים כי Meta ביצעה כמעט 43.9 מיליון הפרות מכוונות של החוק להגנת הצרכן בניו מקסיקו. המספר הזה אינו מייצג 43.9 מיליון אנשים שונים שנפגעו, אלא חישוב מצטבר של החשיפה להצהרות המטעות שנבחנו במשפט.
החוק המקומי מאפשר להטיל קנס של עד 5,000 דולר לכל הפרה מכוונת. מכפלת מספר ההפרות בקנס המרבי הביאה את הסכום לכ-219.5 מיליארד דולר. מדינת ניו מקסיקו ביקשה להטיל קנס של 35 עד 40 מיליארד דולר, בעוד ש-Meta טענה כי הסכום לא צריך לעלות על כ-3.45 מיליארד דולר. השופט מתיו בחר לבסוף להעמיד את הקנס על 25 מיליארד דולר, לצד הריבית השנתית של 15%.
לפי החוק במדינה, הכספים שייגבו מהקנס מיועדים למערכת החינוך הציבורית. אלא שעד שהכסף יגיע לבתי הספר, צפוי להתנהל מאבק משפטי ממושך. בהחלטתו, השופט גם השאיר פתוחה את האפשרות להטיל על Meta הוראות נוספות לשינוי התנהלותה, בכפוף לדיונים נוספים.
ב-Meta דוחים את הפסיקה. היועץ המשפטי הראשי של החברה, סי. ג'יי. מהוני, טען כי ההחלטה הופכת את הפעילות העסקית בניו מקסיקו לכמעט בלתי אפשרית, וכי התביעה מהווה ניסיון להטיל מס על חופש הביטוי ולהכתיב כללים חדשים לתוכן שמותר לפרסם באינטרנט. החברה מתכוונת לערער על פסק הדין וטוענת כי לא הטעתה את המשתמשים וכי שיפרה את נוהלי הפרטיות שלה.
זו גם אינה הפעם הראשונה ש-Facebook נדרשת לשלם בעקבות הפרשה. בשנת 2019 הסכימה החברה לשלם קנס פדרלי של 5 מיליארד דולר בעקבות הפרות פרטיות, במסגרת הסדר שכלל גם התחייבויות לשינויים במנגנוני הפיקוח על מידע אישי. אלא שההליך הנוכחי נוגע להפרות של חוק מדינתי נפרד, וניו מקסיקו בחרה לנהל אותו באופן עצמאי.
מעבר לסכום הכספי, הפסיקה מעלה שאלה רחבה יותר עבור תעשיית הטכנולוגיה. במשך שנים, חברות האינטרנט התייחסו להגדרות פרטיות, למסמכי מדיניות ולהבטחות פומביות כחלק ממערכת היחסים עם המשתמשים. ההחלטה בניו מקסיקו ממחישה את הסיכון שנוצר כאשר הבטחות כאלה אינן תואמות את אופן הפעולה של המערכות בפועל. במקום להסתפק בהוכחת נזק פרטני לכל משתמש, החוק המקומי מאפשר להטיל קנסות על עצם הפרסום החוזר של מצגים מטעים בפני ציבור רחב.
סביר שהערעור יתמקד גם ביחס שבין מספר ההפרות, גובה הקנס והנזק שנגרם בפועל. לכן מוקדם לקבוע ש-Meta אכן תשלם את מלוא הסכום. אבל גם אם הקנס יופחת בהמשך, המסר של פסק הדין כבר ברור: כפתור שמבטיח למשתמש שליטה במידע האישי שלו אינו שווה הרבה, אם מאחורי הקלעים החברה יודעת שהשליטה הזאת מוגבלת בהרבה מכפי שהיא מציגה.
